
        <html>
			<head>
			     <title>Black Vine网络间谍小组 - virustracker</title>
				 <meta http-equiv="content-type" content="text/html; charset=UTF-8">
			</head>
			<body>
				<h1>原文地址:<a href="http://drops.wooyun.org/news/11524">http://drops.wooyun.org/news/11524</a></h1>
				
      <p>
        <p><a href="http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/the-black-vine-cyberespionage-group.pdf">http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/the-black-vine-cyberespionage-group.pdf</a></p>

<h1>0x00 综述</h1>

<hr />

<p>在2014年初，Anthem遭到黑客袭击，泄露了8000万份医疗记录。媒体在2015年2月曝光了这次入侵事件，而发动攻击的网络间谍小组很可能就是Black Vine。</p>

<p>Anthem并不是Black Vine的唯一目标。Black Vine从2012年开始活动，其攻击目标主要集中在几个领域中，包括航空航天业，能源产业和医疗行业。这个小组使用的武器有通过Elderwood框架传播的0-day漏洞，并且还利用过Hidden Lynx等小组同时使用过的一些漏洞。</p>

<p>Black Vine通常会利用水坑攻击技术来入侵一些目标感兴趣的网站，然后使用0-day漏洞来入侵目标的计算机。如果漏洞利用成功，攻击者就会投放他们自己开发的木马：Hurix、Sakurel（检测为Trojan.Sakurel）和Mivast（检测为Backdoor.Mivast）。这些威胁能够开启受害者计算机上的后门，从而允许攻击者窃取有价值的信息。</p>

<p>根据我们的分析以及开源数据的支持，我们认为Black Vine的成员可能与北京某IT公司有关联。</p>

<!--more-->

<h1>0x01 介绍</h1>

<hr />

<p>2014年1月26日，医疗公司Anthem的一名系统管理员发现，他们的账户遭到了黑客入侵，访问了内部数据库中的敏感数据。虽然很多请求都是从这个账户发起的，但是系统管理员发现是其他人在执行这些请求。很快，Anthem就意识到，他们遭到了网络攻击。这次攻击事件是今天最严重的医疗数据失窃事件，丢失了8000万份记录。Symantec认为实施这次攻击活动是Black Vine小组。</p>

<p>2015年2月，媒体曝光了这次事件，这是公众了解到的第二起针对美国医疗企业的攻击活动。Black Vine发动的这次攻击活动是2015年受关注程度最高的事件之一。但是，这只是Black Vine的一次攻击活动，他们也在攻击其他的几个行业。</p>

<p>从2012年起，Black Vine开始针对性地攻击几个行业，包括能源产业，航空航天业和医疗行业。他们使用了自己开发的木马、0-day漏洞和其他的一些TTP，这是一个有组织有能力的攻击小组。</p>

<p>此次研究记录了，从2012年至今，Black Vine进行的所有活动。通过观察他们的活动时间线，不仅仅能了解他们的历史行动，还能够观察到他们的发展历程。我们希望这份报告能够帮助组织更好地理解Black Vine，包括他们的TTP，动机和使用的木马，以便更有效地防御这一威胁。</p>

<h1>0x02 关键发现</h1>

<hr />

<p>通过研究Black Vine的活动，Symantec发现了下面的信息：</p>

<ul>
<li>Black Vine攻击了多个行业，包括能源业，航空航天业和医疗行业</li>
<li>Black Vine水坑攻击了一些与能源和航空航天相关的合法网站，从而利用木马感染网站的访客</li>
<li>Black Vine似乎掌握了Elderwood框架，他们利用这个框架在威胁小组之间分享木马</li>
<li>Black Vine使用了自己开发的木马，并且有充足的资源来定期更新和修改木马，从而绕过检测</li>
</ul>

<p>这些发现让我们相信，Black Vine与其他的网络间谍小组有合作。Black Vine资金充足，组织性强，包括多名小组成员，其中的一些成员与北京某IT公司有关联。</p>

<h1>0x03 目标</h1>

<hr />

<p>在调查Black Vine期间，Symantec确定了大量遭到攻击的企业。由于Black Vine的攻击途径，仅仅依靠攻击数据可能会误导你。Black Vine经常会利用水坑攻击入侵合法网站，从而强制网站感染其访客。因此，如果只是分析遭到入侵的计算机是无法准确地反映Black Vine的攻击目的。相反，这样能反映出哪些行业的感染率是最高的。</p>

<p>根据Symante遥测数据的分析，Black Vine攻击过下面的这些产业：</p>

<ul>
<li>航空航天业</li>
<li>医疗行业</li>
<li>能源业（天然气和电泵制造商）</li>
<li>军事与防御部门</li>
<li>金融业</li>
<li>农业</li>
<li>科技产业</li>
</ul>

<p>为了进一步判断Black Vine的目标产业，Symantec评估了持有受影响网站的企业。Symantec还调查了Black Vine发动的一些水坑攻击活动。在调查了大量的攻击目标后，Symantec认为Black Vine的主要目标产业是航空航天业和医疗业。很可能，遭到感染的其他行业是次级目标。</p>

<p><img src="http://static.wooyun.org//drops/20151218/2015121809251069226199.png" alt="p1" /> 图1-Black Vine的受害者分布</p>

<p>根据受害者计算机的IP地址位置，我们确定Black Vine的攻击目标主要分布在几个地区。主要的感染地区是美国，其次是中国、加拿大、意大利、丹麦和印度。</p>

<h1>0x04 攻击者的资源</h1>

<hr />

<p>攻击者的资源</p>

<p>Black Vine似乎掌握有大量的资源，能允许他们在同一时间发动多次攻击。这些资源包括自定义木马的开发、0-day漏洞和攻击者持有的基础设施。这样的资金和资源只能由公共实体或私有组织提供。</p>

<p>我们分析发现，Black Vine主要在活动中使用了3种木马变种，分别是Hurix、Sakurel（检测为Trojan.Sakurel）和Mivast（检测为Backdoor.Mivast）。我们认为这些木马的作者都是相同的，并且使用了相同的代码和资源。例如，Hurix和Sakurel具有下面的这些相似点：</p>

<ul>
<li>Hurix和Sakurel都会收集目标的计算机名称，并使用了相同的算法来加密数据</li>
<li>这个算法使用了除法和加法，静态变量是1Ah和61h。下面是每个威胁中算法的位置：</li>
<li>Hurix:402A75h</li>
<li>Sakurel:1000147Bh</li>
<li>网络通讯参数中有相似的数据和参数：</li>
<li>这两个变种都使用了参数“type”，初始值是0</li>
<li>这两个变种都使用了一个包含相同数据的参数，如下：</li>
<li>Hurix: cookie=iztkctcebtgbbyf-2135928347 (其中“cookie” 是参数， “iztkctcebtgbbyf” 是加密的计算机名，“-2135928347” 是十进制的硬盘序列号)</li>
<li>Sakurel: imageid=iztkctcebtgbbyf-2135928347 (其中 “imageid”是参数， “iztkctcebtgbbyf”是加密的计算机名， “-2135928347”是十进制的硬盘序列号)</li>
</ul>

<p>所有这三个变种都具备下面的功能：</p>

<ul>
<li>打开后门</li>
<li>执行文件和命令</li>
<li>删除、修改并创建注册表键值</li>
<li>收集和传输关于受害者计算机的信息</li>
</ul>

<p>我们在CC通讯请求中，发现了下面的URL特征：</p>

<ul>
<li>photoid=</li>
<li>resid=</li>
<li>imageid=</li>
<li>vid=</li>
</ul>

<p>例如：</p>

<ul>
<li>www.polarroute.com/newimage.asp/imageid=oonftwwtwwtzx1755999261&amp;type=0&amp;resid=139890</li>
<li>www.polarroute.com/viewphoto.asp/resid=126546&amp;photoid=oonftwwtwwtzx1755999261</li>
</ul>

<p>在大多数情况下，木马会伪装成科技相关的应用。用于伪装木马的主题包括Media Center，VPN和 Citrix 应用。CC服务器或域名也会像木马一样进行伪装。例如，有一个Sakurel样本就命名为了MediaCenter.exe (MD5:1240fbbabd76110a8fC&amp;C9803e0c3ccfb) 。与木马通讯的CC域名就使用了一个Citrix主题：citrix.vipreclod.com 。</p>

<p>另外，大多数木马样本的数字签名都是由韩国软件公司DTOPTOOLZ Co或软件开发商MICRO DIGITAL INC签署的。Symantec已经观察到，DTOPTOOLZ Co证书还用于签名了一个广告软件，而这起恶意广告活动并没有Black Vine的参与。图2和图3中是详细的证书信息。</p>

<p><img src="http://static.wooyun.org//drops/20151218/2015121809251315259238.png" alt="p2" /> 图2-DTOPTOOLZ Co数字证书</p>

<p><img src="http://static.wooyun.org//drops/20151218/2015121809251454682329.png" alt="p3" /> 图3-MICRO DIGITAL INC数字签名</p>

<h1>0x05 活动</h1>

<hr />

<p>Symantec发现Black Vine的活动最早可以追溯到2012年。从那时开始，Symantec就观察到Black Vine多次发动了针对性攻击活动。在我们调查过的所有活动中，我们发现Black Vine的主要目的是入侵目标的基础设施并窃取信息。</p>

<h1>0x06 能源业</h1>

<hr />

<p>2012年12月，安全研究员Eric Romang发表了一篇博客称，燃气涡轮制造商Capstone Turbine遭到了水坑攻击。Symantec通过调查，也证实了Romang的发现，Capstone Turbine的合法域名capstoneturbine.com上放置了一个0-day exploit，实际是Microsoft Internet Explorer ‘CDwnBindInfo’ Use-After-Free 远程代码执行漏洞 (CVE-2012-4792)。当时，只要用户使用漏洞版本的IE浏览器访问Capstone的网站，就会被Sakurel的有效载荷入侵。Sakurel能够允许Black Vine访问受害者的计算机和信息。如前面提到的，这个Sakurel样本使用了MICRO DIGITAL INC颁发的数字签名。</p>

<p>相关的Sakurel样本信息如下：</p>

<ul>
<li>MD5 哈希: 61fe6f4cb2c54511f0804b1417ab3bd2</li>
<li>C&amp;C 域名: web.viprclod.com</li>
<li>漏洞: CVE-2012-4792</li>
<li>编译时间: 12月8日, 2012 07:54:44</li>
</ul>

<p>另外，攻击中利用的CC域名web.viprclod.com伪装了合法域名VipeCloud.com。这个合法的网站属于VipeCloud，这个网站提供的是销售和营销服务。这一点可能是巧合，也可能是在其他未知的攻击活动中重复使用了相同的基础设施。但是，这个域名是在2012年12月10日注册的，正好在用于攻击能源业的Sakurel样本编译完的两天后。无论如何，这个CC服务器的主题不同于在能源业攻击活动中使用的主题。</p>

<p>攻击者用下面的信息在2012年12月10日注册了CC域名viprclod.com：</p>

<ul>
<li>域名： VIPRECLOD.COM</li>
<li>创建时间： 10-12-12</li>
<li>过期时间：10-12-13</li>
<li>最后更新时间： 10-12-12</li>
<li>管理信息:</li>
<li><strong>moon,today</strong><a href="&#109;&#x61;&#105;&#x6c;&#x74;&#111;&#x3a;&#116;&#111;&#x64;&#97;&#x79;m&#111;&#x6f;&#110;&#x33;2&#49;&#x40;&#103;&#x6d;&#x61;&#105;&#x6c;&#46;&#99;&#x6f;&#109;">&#116;&#111;&#x64;&#97;&#x79;m&#111;&#x6f;&#110;&#x33;2&#49;&#x40;&#103;&#x6d;&#x61;&#105;&#x6c;&#46;&#99;&#x6f;&#109;</a></li>
<li>xingfudadao</li>
<li>sitemo, ai no 236963</li>
<li>Tanzania</li>
</ul>

<p>Capstone Turbine是美国的一家燃气涡轮机制造商，这家企业专攻微型涡轮机、以及加热冷却共生系统。可能是他们在能源和动力技术上的研究和开发专利导致他们成为了攻击目标。</p>

<p>在2012年12月24日，Black Vine再次攻击了能源和技术制造厂。但是具体的攻击情况无法公布，在这次攻击活动中还使用了Sakurel。结合Black Vine发动的多起0-day攻击，以及以涡轮制造商为攻击目标，很可能Black Vine当时的主要目标是能源相关的科学技术。</p>

<h1>0x07 航空航天业</h1>

<hr />

<p>在2013年中期，一篇第三方博客记录了攻击活动中如何利用Citrix诱饵投放Hurix木马来攻击航空公司。这篇博客中写到，攻击中使用的木马是通过钓鱼邮件发送给航空公司的特定员工。在这些邮件中会包括一个URL，用于重定向用户下载Hurix。不过，Symantec无法访问必要的数据来验证博客中说的对不对。我们只是为了记录目的，概括性的总结这次攻击活动。</p>

<p>在2014年2月，Black Vine入侵了欧洲航空公司的网站。攻击者控制了这家公司的域名，并利用其网站主页来入侵网站的访客。之所以利用水坑攻击可能是为了更大范围的感染航空产业里的目标。与2012年针对能源产业的攻击活动类似，攻击者利用了一个新的0-day bug，Microsoft Internet Explorer Use-After-Free 远程代码执行漏洞 (CVE-2014-0322)。这次攻击活动的有效载荷是一个更新版的Sakurel。具体的Sakurel样本信息如下：</p>

<ul>
<li><strong>MD5 哈希</strong>:c869c75ed1998294af3c676bdbd56851</li>
<li><strong>C&amp;C 域名</strong>:oa.ameteksen.com</li>
<li><strong>漏洞</strong>:CVE-2014-0322</li>
<li><strong>编译时间</strong>:<strong>7月16日</strong>,<strong>2013 03:44:36</strong></li>
</ul>

<p>一旦感染了受害者，Sakurel就会通过下面的请求联系CC域名oa.ameteksen.com：</p>

<p><code>GET /script.asp?resid=93324828&amp;nmsg=del&amp;photoid=iztkctcebtgbbyf-2135928347 HTTP/1.1</code></p>

<p>C&amp;C 域名的注册信息如下：</p>

<ul>
<li>域名:AMETEKSEN.COM</li>
<li>注册人URL:http://www.godaddy.com</li>
<li>更新日期:2013-10-15 05:15:20</li>
<li>创建日期:2013-10-15 05:06:32</li>
<li>注册过期日期:2014-10-15 05:06:32</li>
<li>注册人:GoDaddy.com, LLC</li>
<li>注册国家:China</li>
<li>姓名:ghregjr ngrjekg</li>
<li>街道:kwjfhrjkgh</li>
<li>市:rjekteyu</li>
<li>省: </li>
<li>邮政编码:37182</li>
<li>国家:China</li>
<li>电话号码:+86.3781263856</li>
<li>邮箱:<a class="__cf_email__" href="/cdn-cgi/l/email-protection" data-cfemail="c9ada6ababa0a7e7b9a8aaa1acaaa689a8a6a5e7aaa6a4">[email&#160;protected]</a><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script></li>
</ul>

<p>Black Vine创建域名ameteksen.com是为了伪装成合法网站ameteksensors.com 或ametek.com，这两个合法域名属于航天和国防承包商Ametek。</p>

<p>在我们调查Black Vine针对航空业的攻击活动时，Symantec发现这个小组使用了一些非常规战术。在受害者的计算机上运行了Sakurel之后，木马会更改受害者的主机文件。通常，Windows操作系统会使用host文件来映射域名和IP地址，而不是通过DNS查询。Black Vine修改了host文件，在其中添加了静态项目，从而让合法域名解析到他们的合法IP上。</p>

<p>这一点很不常见，因为默认的DNS请求就是这样映射的。一般来说，当攻击者想要把合法域名映射到恶意基础设施时会这样做，但是，修改主机文件会让目标意识到自己遭到了入侵。</p>

<p>Black Vine在攻击航空公司时使用的Sakurel样本会修改主机文件，重定向图1中的合法URL和IP地址。</p>

<p>表1-添加到主机文件中的域名和IP</p>

<p><img src="http://static.wooyun.org//drops/20151218/2015121809251693395427.png" alt="p4" /></p>

<p>在调查这次攻击事件时，我们发现了大量与航空领域相关的域名，这些域名都与Black Vine有关联。在2014年1月末和2月中期，攻击者使用了域名www.savmpet.com 和 gifas. asso.net。另外，Symantec和多家第三方来源此前就报道过有针对性攻击利用这些域名来攻击航空产业的目标。</p>

<p>恶意域名gifas.assso.net很可能伪装的是欧洲航空航天工业协会的合法域名gifas.asso.fr。在调查期间，gifas.asso.net域名被用于传播木马，引用页是www.savmpet .com。</p>

<p>至于Black Vine发动了多少起针对航空行业的攻击活动，我们并不清楚。但是，Symantec认为有多起针对性活动是在2014年初到中期之间发动的。从攻击者使用的0-day漏洞和自定义木马来看，Black Vine一定是资金充足的组织性小组。</p>

<h1>0x08 医疗业</h1>

<hr />

<p>在2015年2月，媒体曝光了一起针对医疗行业的网络间谍活动。这次入侵活动攻击了医疗公司Anthem，导致泄漏了8000万份医疗记录。最初的报告中称，Anthem是在2015年1月26日发现了这次入侵时间，当时系统管理员发现有人利用他的凭证请求了数据库，而他并不知情。很快，Anthem就反应过来自己遭到了攻击，而这次攻击活动可能是从2014年5月开始的。根据我们调查分析的样本，Symantec识别出在这次攻击活动中使用的木马变种是Mivast。其他的第三方厂商也说攻击Anthem的是Mivast木马。</p>

<p>类似于Black Vine的其他攻击活动，Mivast也是使用了DTOPTOOLZ Co的数字签名。并且，在这次入侵活动中，攻击者使用了多个域名来伪装成医疗和科技相关的组织。表2中列出了Black Vine已知的基础设施。</p>

<p>表2-伪装成医疗和科技公司的域名</p>

<p><img src="http://static.wooyun.org//drops/20151218/2015121809251883731523.png" alt="p5" /></p>

<p>Black Vine通常不会用相同的邮箱地址来注册域名。注册人地址<a href="&#109;&#97;&#x69;&#x6c;&#116;&#111;&#x3a;&#x6c;i&#50;&#51;&#x38;&#x34;&#56;&#50;&#x36;&#x34;&#48;&#50;&#x40;&#x79;a&#104;&#111;&#x6f;&#x2e;&#99;&#111;&#x6d;">&#x6c;i&#50;&#51;&#x38;&#x34;&#56;&#50;&#x36;&#x34;&#48;&#50;&#x40;&#x79;a&#104;&#111;&#x6f;&#x2e;&#99;&#111;&#x6d;</a>似乎属于一个域名经销商，与Black Vine并无直接联系。</p>

<p>表3-在Anthem攻击中发现的Mivast样本</p>

<p><img src="http://static.wooyun.org//drops/20151218/2015121809252051810623.png" alt="p6" /></p>

<p>表3中列出了Anthem事件中使用的几个Mivast样本。</p>

<p>我们不清楚攻击者使用了什么机制来投放木马。很可能是通过钓鱼邮件，因为在这次攻击活动中，我们并没有发现水坑攻击的迹象。木马本身使用Citrix和Juniper VPN诱饵进行了伪装，也就是说，攻击活动一开始的攻击目标是Anthem的技术员工。</p>

<h1>0x09 Black Vine的背后是谁？</h1>

<hr />

<p>我们分析了Black Vine使用的基础设施、资源和攻击模式，从而确定他们的动机。我们还研究了一些开源数据，这些数据表明Black Vine的成员与北京一家公司有关联。</p>

<p><strong>与北京某IT公司的关系</strong></p>

<p>Threat Connect在发表的一份博客中提到，根据基础设施的注册信息，能够追踪到Anthem入侵事件的源头来自中国。在入侵Anthem时使用的Mivast木马样本(MD5:230D8 A7A60A07DF28A291B13DDF3351F)，关联到了一个IP地址是192.199.254.126的基础设施。在Mivast 样本的CC托管在这个IP地址上的时间前后，这个IP上只有为数不多的几个域名，其中就包括域名topsec2014.com。</p>

<p>topsec2014. com 的注册地址是<a href="&#x6d;&#97;&#x69;&#108;&#116;&#x6f;&#58;&#x74;&#x6f;&#112;&#x73;&#101;c&#x32;&#48;&#x31;&#52;&#64;&#x31;&#54;3&#x2e;&#99;&#x6f;&#109;">&#x74;&#x6f;&#112;&#x73;&#101;c&#x32;&#48;&#x31;&#52;&#64;&#x31;&#54;3&#x2e;&#99;&#x6f;&#109;</a>,这个邮箱地址与<a href="/cdn-cgi/l/email-protection#b693f38e93f4f0938f8f93f38293f48e93f7f793f38f938e8493f7f393f38193f7f393f48793f383938ff593f48693f383938ff2938e8693f38293f48e938ef3e2d9XpSec_2014@163.com"><span class="__cf_email__" data-cfemail="9bcff4ebc8fef8c4a9abaaafdbaaada8b5f8f4f6">[email&#160;protected]</span><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script></a>很类似。topsec2014 domain域名和先前提到的邮箱地址都与北京某IT公司有关联。</p>

<p><img src="http://static.wooyun.org//drops/20151218/2015121809252135823720.png" alt="p7" /> 图4-关于北京某IT公司的详细介绍</p>

<p>北京某IT公司这个组织主要专注于安全研究、培训、审计和产品开发。其客户包括私有公司和公共部门。这家公司每年还会举办计算机攻击竞赛，并且据报道雇佣了黑客来提供服务和培训。</p>

<p><strong>0-day开发和传播</strong></p>

<p>Black Vine在多次活动中都利用了未知的0-day漏洞来投放他们自己开发的有效载荷。通常识别0-day漏洞并判断其利用方法，需要较高的黑客技术。一般来说，这些漏洞可以通过地下网络购买，或由漏洞开发者自己开发。这两种方式都需要大量的资金。</p>

<p>对于Black Vine而言，Symantec发现他们的活动与其他的网络间谍活动之间有相似的模式。这些攻击活动也会使用相同的0-day漏洞，但是投放不同的有效载荷。很明显，他们能接触到相同的0-day漏洞，然后在不同的小组之间传播和利用，如图5。</p>

<p><img src="http://static.wooyun.org//drops/20151218/2015121809252350346819.png" alt="p8" /> 图5-0-day的传播和使用时间</p>

<p><strong>CVE-2012-4792 0-day漏洞</strong></p>

<p>2012年12月末，美国外交关系协会（CFR）的网站遭到了入侵。据称，CFR的域名被用来利用了 IE6浏览器中的一个未知漏洞，最终确认这个未知漏洞是CVE-2012-4792。在当时，并没有修复这个漏洞的补丁，导致使用有漏洞版本IE浏览器的用户没有办法来处理这一问题。一旦漏洞利用成功，攻击者就会投放Backdoor.Bifrose变种。根据Symantec先前的发现，Bifrose与另外一起间谍活动有关联。Symantec认为Black Vine与这次攻击活动和CFR入侵事件没有关联。</p>

<p>如我们所说的，2012年12月，Black Vine攻击了Capstone Turbine。根据之前发现的实例以及在CFR和Capstone网站上发现的恶意代码，我们认为这几次攻击活动都是在同一周前后进行的。</p>

<p>在这两起网站入侵事件中，这些域名都是利用了相同的IE浏览器0-day漏洞(CVE-2012-4792)。不同之处在于，在攻击Capstone时，投放的是Sakurel有效载荷；而在攻击CFR时，投放的是Bifrose。</p>

<p><strong>CVE-2014-0322 0-day漏洞</strong></p>

<p>在2014年2月，另外两个小组也利用了同一个0-day来投放不同的有效载荷。在2014年2月11日-15日之间，美国退伍军人网(VFW.org)和欧洲一家飞机制造商的网站都遭到了水坑攻击。与2012年的攻击活动类似，这些网站都被强制利用了IE浏览器中的一个0-day漏洞（CVE-2014-0322）来投放恶意有效载荷。</p>

<p>在攻击VFW.org时，投放的是一个Backdoor.Moudoor变种。Symantec在以前的报告中就说过，这个小组曾经利用Moudoor发动了针对性攻击。针对飞机制造商的攻击活动和VFW攻击活动是同时进行的，并且利用了同一个0-day漏洞。在针对航天业的水坑攻击中，Black Vine使用的有效载荷是Sakurel木马。</p>

<p><strong>Elderwood联系</strong></p>

<p>在2012年和2014年，有不同的攻击小组同时利用相同的0-day漏洞发动了攻击活动，但是投放了不同的木马。在这些活动中使用的木马应该是各个小组自己开发的。Symantec此前就确定了这些攻击小组会利用Elderwood框架来交换木马。</p>

<p>在此前的攻击活动中，利用的0-day漏洞应该是来自中国黑客。</p>

<p><strong>归属</strong></p>

<p>Black Vine似乎掌握有充足的资源来开发和更新他们自己的木马，并且他们还掌握有0-day漏洞来发动针对性攻击。这些资源和能力表明Black Vine有强大的资金和资源支持。Black Vine从2012年末开始一直在攻击几个产业，应该是有组织的网络间谍小组。</p>

<p>Black Vine的有些基础设施似乎与北京某IT公司有关联。</p>

<p>通过Elderwood框架也能证明Black Vine在与其他攻击小组合作。并且Black Vine还通过Elderwood给其他攻击者分享0-day漏洞。</p>

<h1>0x0A 结论</h1>

<hr />

<p>至少从2012年起，Black Vine久开始了攻击活动。经过Symantec的分析，Black Vine针对能源、航空航天业、医疗业和其他行业发动了多起攻击活动。Black Vine利用了多个木马变种，包括Hurix，Sakurel和 Mivast。所有这些木马都是由同一名作者开发和更新的。每个变种都会通过更新来增加功能，并更改哈希来躲避检测。</p>

<p>在大量的攻击活动中，Black Vine首先会通过水坑攻击，利用0-day漏洞，在受害者的计算机上投放木马。攻击者还会通过Elderwood分享在这些攻击活动中使用的0-day漏洞。另外，Black Vine的所有活动目的都是网络间谍行动。</p>

<p>媒体曝光了Anthem入侵事件，这次攻击是美国医疗历史上最严重的数据失窃事件。 Black Vine发动的这次攻击活动是2015年受关注程度最高的事件之一。但是，这只是Black Vine的一次攻击活动，他们也在攻击其他的几个行业，包括能源产业和航空航天业。我们希望这份报告能够帮助组织更好地理解Black Vine，包括他们的TTP，动机和使用的木马。</p>

<p>我们希望这份报告能够帮助组织更好地理解Black Vine，包括他们的TTP，动机和使用的木马。只有了解了Black Vine的活动，分析人员和决策者才能更有效地与之对抗。</p>

<h1>0x0B 应对办法</h1>

<hr />

<p>Symantec能够防御Black Vine的木马：</p>

<p><strong>AV</strong></p>

<ul>
<li>Backdoor.Mivast</li>
<li>Trojan.Sakurel</li>
</ul>

<p><strong>IPS</strong></p>

<p>System Infected: Trojan.Sakurel Activity</p>      </p>
    
			</body>
		</html>
                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                          